思科披露防火墙管理软件高危 RCE 漏洞​

思科披露其安全防火墙管理中心（FMC）软件中存在一个高危远程代码执行（RCE）漏洞（编号CVE-2025-20265，CVSS评分10.0满分）。思科已敦促客户尽快安装更新以防潜在威胁。

该漏洞存在于思科FMC软件的RADIUS子系统实现中。若被利用，未经身份验证的远程攻击者可注入由设备执行的任意shell命令。RADIUS是思科设备采用的访问服务器认证协议，通过验证用户凭证管理网络资源以实现安全访问。

思科在8月14日公告中警告：“此漏洞源于认证阶段对用户输入处理不当。攻击者可通过发送特制输入至配置的RADIUS服务器进行利用，成功后能以高权限级别执行命令。”漏洞影响已启用RADIUS认证的Cisco Secure FMC软件7.0.7和7.7.0版本。

修复方案

该公告属于思科安全公告捆绑发布的一部分，涵盖21项针对思科安全防火墙ASA、FMC和FTD软件的安全通告（共描述29个漏洞）。

1. 思科提供免费更新解决FMC漏洞，持有服务合同的客户可通过常规渠道获取补丁
2. 目前无直接缓解措施，但仅当启用RADIUS认证时漏洞才可被利用
3. 建议切换至本地账户、外部LDAP认证或SAML单点登录（SSO）作为临时方案

消息来源： infosecurity-magazine；

本文由 HackerNews.cc 翻译整理，封面来源于网络；